--- id: CP-201 slug: wachtwoordmanager-zero-knowledge lang: nl title: Wachtwoordmanager en Zero-Knowledge-versleuteling description: Hoe een wachtwoordmanager uw kluis versleutelt vanuit het hoofdwachtwoord, en wat u doet zodat hij uw accounts echt beschermt. canonical_url: https://startbrain.io/cyberpedia/nl/articles/wachtwoordmanager-zero-knowledge/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/wachtwoordmanager-zero-knowledge.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, “Wachtwoordmanager en Zero-Knowledge-versleuteling”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/wachtwoordmanager-zero-knowledge/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-013 schema: G3 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/wachtwoordmanager-zero-knowledge/ fr: https://startbrain.io/cyberpedia/fr/articles/gestionnaire-mots-de-passe-zero-knowledge/ en: https://startbrain.io/cyberpedia/en/articles/zero-knowledge-password-manager/ es: https://startbrain.io/cyberpedia/es/articles/gestor-contrasenas-zero-knowledge/ it: https://startbrain.io/cyberpedia/it/articles/gestore-password-zero-knowledge/ sources: - "n": 1 title: Password manager buyers guide publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/passwords/password-manager-buyers-guide accessed: "2026-11-03" - "n": 2 title: "SP 800-132, Recommendation for Password-Based Key Derivation: Part 1: Storage Applications | CSRC" publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/132/final accessed: "2026-11-03" - "n": 3 title: Password Storage - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Password_Storage_Cheat_Sheet.html accessed: "2026-11-03" - "n": 4 title: Les conseils de la CNIL pour un bon mot de passe publisher: CNIL url: https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe published: "2017-01-26" accessed: "2026-11-03" - "n": 5 title: Use Strong Passwords | CISA publisher: CISA url: https://www.cisa.gov/secure-our-world/use-strong-passwords accessed: "2026-11-03" - "n": 6 title: Three random words publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/three-random-words published: "2021-12-21" accessed: "2026-11-03" - "n": 7 title: Authentication - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html accessed: "2026-11-03" - "n": 8 title: NIST Special Publication 800-63B publisher: NIST url: https://pages.nist.gov/800-63-3/sp800-63b.html accessed: "2026-11-03" - "n": 9 title: Pourquoi et comment bien gérer ses mots de passe ? publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe published: "2019-11-23" accessed: "2026-11-03" - "n": 10 title: "Credentials from Password Stores: Password Managers" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1555/005/ accessed: "2026-11-03" --- # Wachtwoordmanager en Zero-Knowledge-versleuteling Een wachtwoordmanager bewaart de inloggegevens van een medewerker in een kluis. Die kluis gaat open met één geheim, het hoofdwachtwoord [1]. De tientallen wachtwoorden die iedereen gebruikt, zijn moeilijk te onthouden, en het gevolg is bekend: mensen hergebruiken dezelfde wachtwoorden of kiezen veelgebruikte wachtwoorden, en aanvallers maken daar gebruik van [1]. In het ideale geval dat het NCSC beschrijft, wordt de sleutel die de kluis ontsleutelt meestal afgeleid van het hoofdwachtwoord, en hoort de aanbieder van de synchronisatiedienst er geen toegang toe te hebben [1]. Die eigenschap heeft een keerzijde: als de ontsleutelingssleutel verloren gaat, mag het niet mogelijk zijn om die opnieuw in te stellen om de inhoud van de kluis terug te krijgen [1]. ## In 30 seconden - Waar het gebeurt: telkens wanneer een wachtwoord wordt aangemaakt, ingevoerd of opgeslagen, op het werk en thuis. - Wat de aanvaller wil: het hoofdwachtwoord of de leesbare inloggegevens die uit het geheugen zijn gehaald [10], want een geslaagde aanval geeft toegang tot alle opgeslagen wachtwoorden [1]. - De reflex: kies een lange, unieke wachtzin als hoofdwachtwoord [5][6], schakel multifactorauthenticatie in op de wachtwoordmanager [1] en gebruik dat geheim nooit ergens anders [4]. - Als het al is ingesteld: weet of er een herstelmogelijkheid bestaat, wie die kan starten en of u die wilt [1]. ## Directe vragen ### Kan de aanbieder mijn wachtwoorden lezen? De gids van het NCSC (Verenigd Koninkrijk) beschrijft het ideale geval: de opgeslagen inloggegevens zijn alleen toegankelijk voor de gebruiker, met zijn ontsleutelingssleutel, die meestal van het hoofdwachtwoord is afgeleid. Die sleutel mag niet toegankelijk zijn voor anderen, de aanbieder inbegrepen [1]. Een wachtwoordmanager die herstel via de aanbieder biedt, wijkt van dit geval af: het NCSC waarschuwt dat de herstelmethode kan worden misbruikt om toegang tot de inloggegevens te krijgen, vooral wanneer de aanbieder ervoor verantwoordelijk is [1]. ### Wat gebeurt er als ik het hoofdwachtwoord vergeet? U verliest de toegang tot al uw opgeslagen wachtwoorden en moet de betrokken accounts een voor een opnieuw instellen, wat veel tijd kost [1]. Sommige wachtwoordmanagers bieden een herstel waarbij andere bevoegde personen betrokken zijn: een collega, een beheerder of de aanbieder [1]. Het NCSC raadt aan om te beslissen of u deze optie wilt, door de risico's af te wegen tegen de kosten van een verloren kluis [1]. ### Waarom wordt het hoofdwachtwoord niet rechtstreeks als sleutel gebruikt? Een sleutelafleidingsfunctie zet het wachtwoord om in een versleutelingssleutel. Het NIST publiceerde in december 2010 aanbeveling SP 800-132, die de afleiding van hoofdsleutels uit wachtwoorden of wachtzinnen beschrijft om opgeslagen gegevens te beschermen [2]. Het NIST geeft in 2023 aan een herziening van dit document te plannen [2]. ### Kan een wachtwoordmanager worden aangevallen? Ja. Het NCSC wijst erop dat een wachtwoordmanager, zoals alle software, kwetsbaarheden kan hebben en een voor de hand liggend doelwit is, omdat een geslaagde aanval toegang geeft tot alle wachtwoorden van een gebruiker [1]. Dezelfde gids concludeert dat de voordelen zwaarder wegen dan de risico's [1]. ## Hoe het werkt Het hoofdwachtwoord gaat door een afleidingsfunctie om de versleutelingssleutel te maken [2]. Voor het opslaan van wachtwoorden aan de serverkant beveelt OWASP trage algoritmen aan zoals Argon2id, bcrypt of PBKDF2, en acht het snelle algoritmen zoals SHA-256 ongeschikt, omdat die de aanvaller een zeer groot aantal combinaties per seconde laten testen [3]. Een traag algoritme dat veel geheugen vraagt, maakt brute force moeilijker, duurder en langduriger [3]. De instelling gebeurt met een werkfactor, dat wil zeggen het aantal iteraties van het algoritme voor elk wachtwoord [3]. OWASP geeft meerdere gelijkwaardige minimale configuraties voor Argon2id, waarvan er één 19 MiB geheugen, 2 iteraties en 1 graad van parallellisme is, en voor PBKDF2 met een FIPS-140-eis een factor van 600.000 of meer met HMAC-SHA-256 [3]. Deze cijfers beschrijven het opslaan van wachtwoorden aan de serverkant. De hier aangehaalde bronnen vermelden niet welke parameters elke wachtwoordmanager voor zijn kluis kiest. In het gebruik vult de wachtwoordmanager ook formulieren in. Hij mag de inloggegevens alleen aanbieden voor de site waarvoor ze zijn opgeslagen, nooit de hele kluis aan een bezochte site [1]. Het NCSC voegt eraan toe dat een wachtwoordmanager nepsites beter kan herkennen dan een mens [1]. ## Wat u doet Kies als hoofdwachtwoord een lange wachtzin. CISA stelt een reeks van 4 tot 7 woorden voor die niets met elkaar te maken hebben [5]. Het NCSC adviseert drie willekeurige woorden, bijvoorbeeld "applenemobiro", en raadt geboortedata, sportteams en namen van naasten of huisdieren af, die sociale media vaak onthullen [6]. Een "o" vervangen door een nul voegt nauwelijks kracht toe, want cybercriminelen kennen deze truc [6]. De CNIL noemt als voorbeeld een wachtwoord van minstens 12 tekens van 4 typen, en merkt op dat het korter mag zijn als het account extra beveiligingen heeft [4]. Gebruik dit hoofdwachtwoord nooit opnieuw. De CNIL vraagt om een eigen, uniek wachtwoord voor elk gevoelig account, om kettingreacties van gehackte accounts te voorkomen [4]. Schakel multifactorauthenticatie in op de wachtwoordmanager. Dan moet de aanvaller het hoofdwachtwoord kennen en ook de tweede factor bezitten [1]. Het NCSC vraagt om multifactorauthenticatie te gebruiken bij alle wachtwoordmanagers met synchronisatie in de cloud, en voor accounts met bijzondere rechten, zoals beheerdersaccounts [1]. OWASP haalt een analyse van Microsoft aan volgens welke multifactorauthenticatie 99,9 % van de gekaapte accounts zou hebben tegengehouden [7]. Beslis of u een herstelmogelijkheid wilt, door de risico's af te wegen tegen de kosten van een verloren kluis, en weet wie die zou kunnen starten [1]. Als uw bedrijf een beleid heeft, volg dat dan. Het NCSC raadt verantwoordelijken aan om een duidelijke regel vast te stellen over het exporteren van de kluis in leesbare vorm, want eenmaal geëxporteerd zijn de wachtwoorden niet meer beschermd [1]. Laat de wachtwoordmanager de wachtwoorden voor uw andere accounts genereren: dat maakt het gemakkelijker om unieke, lange en willekeurige wachtwoorden te gebruiken [1]. Het NIST merkt op dat plakken in invoervelden het gebruik van wachtwoordmanagers vergemakkelijkt [8]. Deze versie van NIST SP 800-63 is sinds 1 augustus 2025 vervangen door SP 800-63-4 [8]. ## De valkuilen - Een zwak hoofdwachtwoord. De aanvaller kan het met brute force proberen te raden [10]. Voor het beleid rond het hoofdwachtwoord verwijst MITRE naar de aanbevelingen van het NIST [10]. - Phishing. MITRE raadt aan gebruikers te trainen om phishingpogingen te herkennen die sessiecookies of inloggegevens stelen [10]. - De kluis die open in het geheugen staat. Zodra de database is ontgrendeld, kunnen de inloggegevens in het geheugen worden gekopieerd, en aanvallers halen daar het hoofdwachtwoord of de leesbare inloggegevens uit [10]. MITRE raadt aan de wachtwoordmanager na een korte tijd opnieuw te vergrendelen [10]. - Software die niet is bijgewerkt. MITRE beveelt aan browsers, wachtwoordmanagers en bijbehorende software regelmatig bij te werken [10], en het NCSC om te controleren of de leverancier zijn kwetsbaarheden snel verhelpt [1]. - Extensies en de browser. De wachtwoordmanager steunt vaak op een browserextensie om formulieren in te vullen [1]. MITRE noemt de gegevens van browserextensies en wachtwoordmanagers onder de doelwitten van sommige schadelijke code [10]. Op een gedeelde computer raadt Cybermalveillance.gouv.fr af om wachtwoorden in de browser op te slaan [9]. - Gestolen kluisdatabases. MITRE noemt actoren en schadelijke software die het op die databases gemunt hadden: Threat Group-3390 kreeg een KeePass-database in handen op een gecompromitteerde machine, en Indrik Spider exporteerde wachtwoorden uit wachtwoordmanagers [10]. - Het verlies van het geheim zonder herstel. Als de sleutel verloren gaat en er geen herstel bestaat, blijft de kluis onleesbaar [1]. - Notities in leesbare vorm. Post-its, tekstbestanden, berichtenapps of telefoons zijn niet gemaakt om wachtwoorden te bewaren [4]. ## Bronnen 1. NCSC (Royaume-Uni), “Password manager buyers guide”. https://www.ncsc.gov.uk/collection/passwords/password-manager-buyers-guide (geraadpleegd op 3 november 2026) 2. NIST, “SP 800-132, Recommendation for Password-Based Key Derivation: Part 1: Storage Applications | CSRC”. https://csrc.nist.gov/pubs/sp/800/132/final (geraadpleegd op 3 november 2026) 3. OWASP, “Password Storage - OWASP Cheat Sheet Series”. https://cheatsheetseries.owasp.org/cheatsheets/Password_Storage_Cheat_Sheet.html (geraadpleegd op 3 november 2026) 4. CNIL, “Les conseils de la CNIL pour un bon mot de passe”, 26 januari 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (geraadpleegd op 3 november 2026) 5. CISA, “Use Strong Passwords | CISA”. https://www.cisa.gov/secure-our-world/use-strong-passwords (geraadpleegd op 3 november 2026) 6. NCSC (Royaume-Uni), “Three random words”, 21 december 2021. https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/three-random-words (geraadpleegd op 3 november 2026) 7. OWASP, “Authentication - OWASP Cheat Sheet Series”. https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html (geraadpleegd op 3 november 2026) 8. NIST, “NIST Special Publication 800-63B”. https://pages.nist.gov/800-63-3/sp800-63b.html (geraadpleegd op 3 november 2026) 9. Cybermalveillance.gouv.fr, “Pourquoi et comment bien gérer ses mots de passe ?”, 23 november 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (geraadpleegd op 3 november 2026) 10. MITRE ATT&CK, “Credentials from Password Stores: Password Managers”. https://attack.mitre.org/techniques/T1555/005/ (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/wachtwoordmanager-zero-knowledge/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.